T1140: 反混淆/解码文件或信息

摘要

攻击者可能使用[混淆的文件或信息](https://attack.mitre.org/techniques/T1027)对分析隐藏入侵痕迹。根据他们打算如何使用这些信息，可能需要单独的机制来解码或反混淆这些信息。实现方式包括恶意软件的内置功能，或使用系统中已有的实用工具。 一个示例是使用 [certutil](https://attack.mitre.org/software/S0160) 来解码隐藏在证书文件中的远程访问工具可移植可执行文件。(Citation: Malwarebytes Targeted Attack against Saudi Arabia) 另一个示例是使用 Windows 的 <code>copy /b</code> 或 <code>type</code> 命令将二进制片段重新组合成恶意载荷。(Citation: Carbon Black Obfuscation Sept 2016)(Citation: Sentinel One Tainted Love 2023) 有时可能需要用户操作来打开文件进行反混淆或解密，作为[用户执行](https://attack.mitre.org/techniques/T1204)的一部分。用户还可能被要求输入密码来打开攻击者提供的受密码保护的压缩/加密文件。(Citation: Volexity PowerDuke November 2016)